淘宝装修可引用外部js文件

简要描述：               
淘宝装修页对js过滤不严可使用户引用外部js文件，可获得其它淘宝用户的cookies、修改自己的店铺的评论，宝贝卖出去的数量等。
详细说明：                                       
) @* H+ s0 e5 M  n6 q# {在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图

4 u$ X' P) t" b  _, B# A修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~
$ n0 @3 g8 N) f$ p- M6 A# ]
. P9 M/ r% H9 k' q$ }+ ~7 M然后上一张修改后的页面图

再上个成品的URL，可以直接从firebug里面查看用户的外部js文件

9 ~8 T& O2 F# B- \漏洞证明：                       
* t: x2 r' T$ _在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图

+ H. l$ a1 V/ U  n. [$ r, {5 |; d
1 q0 ~$ ^( _6 ~( ?修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~
- u* }5 t# K2 f  M
6 P- S- o7 O9 v0 h. x然后上一张修改后的页面图

再上个成品的URL，可以直接从firebug里面查看用户的外部js文件
( G% G$ k" G) S$ R- w1 q8 j! O$ d0 s

我来个吧

谢谢，希望有用

11111111111111

牛B的网站，我喜欢

dddddddddddddddddd

12345678910111213141516

看看~~~~~~~~~

好东西，支持了、
& v, Z- s! b9 X8 E- u: |7 H& s

了解一下了

路过看看